VPN keçidi özəl dövrədən nələri qorumalıdır

Özəl dövrələri təsvir etmək asan, əvəz etmək çətindir, çünki müqavilə kabeldən çoxunu əhatə edirdi. O, təhvil nöqtəsi, ünvan planı, gecikmə gözləntisi və dəstək razılaşması daşıyırdı və onu əvəz edən tunel bu dördünü də miras alır, kimsə onları yazıb-yazmamasından asılı olmayaraq. Komanda marşrutlaşdırma konfiqurasiyasını kopyalayıb qalanını əməliyyat problemi adlandıranda keçidlər uğursuz olur. Tələblərdən başlayın, sonra köhnə ləğv edilməzdən əvvəl hər birini yeni yolda sübut edin.

Dövrəni xassələr siyahısına çevirin

İlk sual köhnə xidmətin əslində nə təhvil verdiyidir: kiçik alt şəbəkəli marşrutlaşdırılmış link, yoxsa saytlar arasında paylaşılan 2-ci qat seqmenti. Bu fərq IP tunelinin onu ümumiyyətlə təkrarlaya biləcəyini müəyyən edir, çünki tunel paketləri iki ünvan arasında daşıyır və yayım aşkarlamasını və ya ixtiyari EtherTypes-ləri daşımır. Özünü kommutator portu kimi təqdim edən dövrə, /30 təqdim edən dövrədən fərqli miqrasiyadır.

Sayt prefikslərini, şlüz ünvanlarını, ünvanları öz konfiqurasiyasına daxil edən tətbiqləri və mühitin başqa yerində üst-üstə düşən prefiksləri yazın. Miqrasiyadan sağ çıxan ünvan planı dizayn nəticəsidir, fərziyyə deyil. Həmin dörd siyahı sonra qəbul meyarlarına çevrilir, ona görə onları test edənlərin oxuya biləcəyi yerdə saxlayın.

Yeni yolu hər iki istiqamətdə marşrutlaşdırın

Qalxan tunel yalnız yarım yoldur. Uzaq tərəfə hər yerli prefiksə geri marşrut lazımdır, yerli tərəf isə həmin prefikslər üçün tunelə üstünlük verməli, amma internetdən çıxmalı olan trafiki oğurlamamalıdır. Asimmetrik yönləndirmə bu yarımlardan birini düzgün etməyin adi simptomudur. Uzaq tərəfin cədvəlini öz cədvəliniz qədər diqqətlə yoxlayın, çünki heç kimin konfiqurasiya etmədiyi yol geri dönüş yoludur.

ip route get 10.20.0.10

Siyasət marşrutlaşdırması bölgüsü açıq edir: sayt cütünə aid trafiki işarələyin və defolt marşrutu tunel olan cədvəl verin. IPsec qorunan assosiasiyanı və nəyin ona daxil olacağını müəyyən edən siyasəti təmin edir, amma ətrafındakı marşrutları yox, IPsec arxitekturasının təsvir etdiyi kimi. İşarə çox geniş uyğunlaşdıqda saytdan gələn adi veb trafiki də tunelə girir və səhv çıxışdan çıxır.

Artıq sınaqdan keçirdiyiniz geri qaytarma ilə keçin

Fərqli sahibləri olan iki canlı yol asimmetrik yönləndirməni dəvət edir, ona görə yenisini müəyyən pəncərə daxilində qaldırın və prefiksləri elan edilmiş ardıcıllıqla köçürün. Köhnə dövrəni konfiqurasiya olunmuş saxlayın və heç bir tuneldən asılı olmayan bantdan kənar idarəetmə yolu saxlayın. Tətbiqlər imkan verdikcə bir dəfəyə bir prefiks köçürün və köçürmələr arasında sessiya cədvəlinə baxın.

Hansı sübutun keçidi icazələndirdiyini və hansı şərtin geri qaytarmanı işə saldığını əvvəlcədən qərar verin. Yeni VPN-i uğursuz bağlantı üzərindən təmir etməyi tələb edən geri qaytarma geri qaytarma deyil. Tetikleyicini otaqdakı hiss kimi deyil, ölçülə bilən şərt kimi yazın.

Dövrənin həqiqətən daşıdığı trafiklə qəbul edin

Ping yalnız əlçatanlığı sübut edir, başqa az şeyi. Ad həllini, uzunömürlü sessiyaları, rədd edilən axınları və köhnə yolun fraqmentasiyasız idarə etdiyi paket ölçülərini sınayın. MTU tunellərin dövrədən ən çox fərqləndiyi yerdir, çünki inkapsulyasiya tətbiqin mövcud saydığı baytları istehlak edir. Hər iki istiqamətdə fraqmentasiyasız keçən ən böyük yükü ölçün, yalnız serverə doğru deyil.

ping -M do -s 1400 -c 3 10.20.0.10

1400 baytlıq yük keçir, 1472 isə keçmirsə, yolun maksimumu tətbiqlərin gözlədiyindən kiçikdir və siz kosmetik deyil, real reqressiya tapmısınız. Bu nəticəni birinci addımda yazılmış tələblərlə müqayisə edin və dövrəni yalnız həmin tətbiqlərin sahibləri ölçməni qəbul etdikdə çıxarın. Məhz bu imza uğurlu testi qəbul edilmiş miqrasiyaya çevirir.